10.2. セキュリティー

無害な AVC 拒否を防ぐために、これらのサービスの SELinux ポリシーに dontaudit ルールが追加されました。

Jira:RHEL-77808^[1]

回避策: openssl.cnf ファイルの PKCS #11 セクションで pkcs11-module-assume-fips = true パラメーターを設定します。詳細は、システムの pkcs11-provider(7) man ページを参照してください。この設定変更により、pkcs11-provider は FIPS モードで動作するようになります。

Jira:RHEL-68621

EMS または TLS 1.3 をサポートしていないレガシークライアントは、RHEL 9 および 10 で稼働する FIPS サーバーに接続できなくなりました。同様に、FIPS モードの RHEL 9 および 10 クライアントは、EMS なしでは TLS 1.2 のみをサポートするサーバーに接続できません。これは実際には、これらのクライアントが RHEL 6、RHEL 7、および RHEL 以外のレガシーオペレーティングシステム上のサーバーに接続できないことを意味します。これは、OpenSSL のレガシー 1.0.x バージョンが EMS または TLS 1.3 をサポートしていないためです。

さらに、ハイパーバイザーが EMS なしで TLS 1.2 を使用する場合は、FIPS 対応 RHEL クライアントから VMWare ESX などのハイパーバイザーへの接続が Provider routines::ems not enabled エラーで失敗するようになりました。この問題を回避するには、EMS 拡張で TLS 1.3 または TLS 1.2 をサポートするようにハイパーバイザーを更新します。VMWare vSphere の場合、これはバージョン 8.0 以降を意味します。

詳細は、TLS Extension "Extended Master Secret" enforced with Red Hat Enterprise Linux 9.2 and later を参照してください。

Jira:RHEL-13340